Os ficheiros de atalho da Internet, ou os chamados ficheiros URL, têm sido considerados durante anos como partes inofensivas e sem importância do Windows. No entanto, estão agora a ser cada vez mais utilizados por cibercriminosos e grupos APT como parte de cadeias de infeção complexas. Devido à simplicidade do formato, à baixa taxa de deteção e ao comportamento específico do sistema, os ficheiros URL estão a tornar-se portadores silenciosos de código malicioso. Os peritos da OPSWAT analisam esta nova categoria de ameaças e fornecem ferramentas para as detetar e neutralizar.
Principais conclusões
-
Os ficheiros URL são atalhos de rede baseados em texto que podem iniciar ataques em várias fases.
-
São usados para executar cargas úteis .hta, .js ou .cpl, contornar a segurança e vazar dados.
-
Estes ficheiros podem atuar como um vetor de ataque de phishing ou como parte de uma persistência de malware.
-
Mesmo os grupos APT avançados utilizam ficheiros URL como elementos de baixo sinal em campanhas maiores.
-
OPSWAT analisa a sua estrutura de forma estática e dinâmica utilizando o FileTAC e o MetaDefender Sandbox.
Índice
-
O que são ficheiros URL
-
Como os ficheiros URL apoiam os ataques informáticos
-
Porque é que a ameaça deles está a crescer
-
Utilização estratégica de ficheiros URL por grupos APT
-
Como é que o OPSWAT identifica ficheiros de atalho maliciosos
-
Resumo
O que são ficheiros URL
O ficheiro com a extensão .url é um simples atalho de Internet formatado em INI. A sua estrutura é frequentemente limitada a uma única linha:
Estes ficheiros permitem que os utilizadores iniciem rapidamente um determinado site ou aplicação web. No entanto, esta simplicidade é também uma potencial fraqueza: o ficheiro não requer uma assinatura, pode ser facilmente modificado e o seu lançamento ativa um recurso externo.
Como os ficheiros URL apoiam os ataques informáticos
Atualmente, os ficheiros URL são cada vez mais utilizados como:
-
Vectores de phishing – o utilizador clica num atalho que abre uma página maliciosa ou descarrega uma carga útil
-
Carregadores de fase seguinte – por exemplo, para executar .hta ou .js remotamente
-
Ferramentas para contornar a segurança – por exemplo, contornar o SmartScreen e a etiqueta MOTW
-
Mecanismos de fuga de dados – por exemplo, através de um ícone de SMB ou de um sinalizador C&C
-
Elementos de persistência de perigo – colocados em pastas de arranque automático
Embora aparentemente inofensivos, os ficheiros URL podem fazer parte de um ataque totalmente desenvolvido.
Porque é que a ameaça deles está a crescer
Do ponto de vista da segurança cibernética dos ficheiros URL, a ameaça advém do facto de:
-
Estes ficheiros são normalmente ignorados pelos sistemas AV tradicionais
-
Podem ser facilmente contrabandeados através de e-mails, documentos e arquivos
-
Não está sujeito a um controlo rigoroso por parte dos utilizadores ou administradores
-
Pode ser modificado por malware num sistema já infetado
Utilização estratégica de ficheiros URL por grupos APT
Como referem os analistas OPSWATaté mesmo grupos estatais avançados estão a começar a utilizar ficheiros URL em campanhas complexas. Estão a ser utilizados como ferramentas de baixa assinatura para iniciar ataques – especialmente quando combinados com strings LNK, HTA e PowerShell.
Em vez de criar um novo malware a partir do zero, os atacantes usam um simples ficheiro URL como primeiro passo para executar uma sequência mais complexa.
Como é que o OPSWAT identifica ficheiros de atalho maliciosos
OPSWAT utiliza duas ferramentas para analisar completamente os ficheiros URL:
-
FileTAC – para inspeção estática (DFI – Deep File Inspection), detecta a manipulação de metadados, valores ocultos, campos suspeitos
-
MetaDefender Sandbox – um ambiente dinâmico que analisa o funcionamento de um ficheiro URL em tempo real, detectando tentativas de ligação a servidores externos, criação de ficheiros de arranque automático, descarregamento de cargas úteis
Combinando ambas as abordagens, é possível reconhecer e neutralizar totalmente o ficheiro malicioso – antes que este tenha tempo de causar danos.
Resumo
Os ficheiros URL já não são atalhos inocentes para os sítios – estão a tornar-se um vetor de ameaça viável no panorama dos ciberataques. A sua simplicidade torna-os atractivos para os atacantes, enquanto que a desatenção dos utilizadores e a falta de ferramentas de análise eficazes lhes dá uma perigosa janela de oportunidade. Com a ajuda do OPSWAT é possível não só detetar esses ficheiros, mas também analisá-los e eliminá-los eficazmente como parte de uma estratégia de segurança de ficheiros mais ampla. Nas próximas partes da série, os especialistas do OPSWAT mostrarão como identificar ameaças em ficheiros URL ao nível do código e do comportamento.
Queres saber mais sobre as ferramentas e a análise de ficheiros maliciosos do OPSWAT? Consulta a oferta: https://ramsdata.com.pl/opswat.
